Platform jejaring profesional terbesar di dunia, LinkedIn, tengah menghadapi serbuan kampanye phishing yang sangat terorganisir pada pertengahan Januari 2026. Berbeda dengan metode konvensional yang biasanya menyerang melalui pesan pribadi (InMail), gelombang serangan kali ini membanjiri kolom komentar publik dengan notifikasi palsu yang terlihat sangat meyakinkan.

Para pelaku ancaman memanfaatkan psikologi ketakutan dengan menyamar sebagai "Tim Dukungan LinkedIn", memperingatkan pengguna tentang dugaan pelanggaran kebijakan atau aktivitas akun yang mencurigakan. Serangan ini menjadi sangat berbahaya karena pelaku berhasil memanipulasi fitur internal platform itu sendiri untuk menyamarkan niat jahat mereka.

Baca Juga: Update Darurat Google Chrome: Celah "WebView" Ancam Kebocoran Data Aplikasi, Segera Patch Browser Anda

Berdasarkan analisis teknis terhadap insiden yang dilaporkan sejak 18 Januari 2026, modus operandi serangan ini memiliki tingkat kecanggihan sosial yang tinggi:

1. Komentar Bot Otomatis: Akun-akun palsu yang menggunakan logo dan nama resmi (seperti "LinkedIn Support" atau variannya) secara otomatis membalas unggahan pengguna. Pesan tersebut mengklaim akun korban telah dibatasi sementara karena akses tidak sah.
2. Penyalahgunaan URL Shortener: Ini adalah elemen paling mematikan. Penipu menggunakan layanan pemendek URL resmi milik LinkedIn, yaitu lnkd.in.
   • Dampak: Karena tautan dimulai dengan domain resmi LinkedIn, filter keamanan otomatis dan kewaspadaan pengguna sering kali tertipu. Pengguna mengira tautan tersebut aman dan internal.
3. Rantai Pengalihan (Redirection Chain): Setelah diklik, tautan lnkd.in tersebut tidak mengarah ke halaman bantuan resmi, melainkan dialihkan ke situs phishing yang di-hosting di platform gratisan seperti netlify[.]app atau domain acak lainnya.

Tujuan akhir dari kampanye ini adalah Credential Harvesting atau pencurian data login.

• Situs Pendaratan (Landing Page): Korban diarahkan ke halaman yang meniru antarmuka "Verifikasi Identitas" LinkedIn. Contoh domain yang teridentifikasi antara lain sangat1929412.netlify[.]app.
• Eksekusi: Tombol verifikasi pada halaman tersebut membawa korban ke domain akhir (seperti very128918[.]site) di mana pengguna diminta memasukkan email dan kata sandi. Data inilah yang kemudian dipanen oleh penipu untuk mengambil alih akun profesional korban.

LinkedIn sendiri telah mengonfirmasi bahwa mereka tidak pernah menyampaikan peringatan pelanggaran kebijakan melalui komentar publik. Pemberitahuan resmi selalu dilakukan melalui kanal privat atau email terverifikasi.

Insiden ini menyoroti evolusi serangan Social Engineering yang kini menargetkan "rasa aman palsu" pengguna terhadap platform terpercaya. Penggunaan URL Shortener resmi (lnkd.in) oleh penipu membuktikan bahwa indikator keamanan visual (seperti nama domain) tidak lagi cukup untuk menjamin keamanan. Bagi perusahaan, risiko ini sangat tinggi karena akun LinkedIn karyawan sering kali menjadi pintu gerbang untuk pengintaian bisnis (reconnaissance) atau serangan Business Email Compromise (BEC).

Berdasarkan evaluasi terhadap kesiapan sumber daya manusia yang kami jalankan di berbagai sektor industri, terlihat jelas bahwa tingkat literasi keamanan karyawan sering kali menurun ketika mereka berada di lingkungan yang dianggap "aman" seperti LinkedIn. Karyawan cenderung lebih waspada terhadap email asing, namun lengah terhadap notifikasi di media sosial profesional mereka. Hal ini mendorong kami untuk merekomendasikan program Employee Training yang lebih kontekstual, yang tidak hanya membahas email phishing, tetapi juga simulasi ancaman di media sosial dan platform kolaborasi.

Di Fourtrezz, kami melihat urgensi bagi perusahaan untuk mengintegrasikan skenario ini ke dalam strategi pertahanan aktif mereka. Melalui layanan konsultasi strategi keamanan dan simulasi phishing, perusahaan perlu menguji apakah tim mereka mampu membedakan antara notifikasi platform yang sah dan manipulasi psikologis yang canggih. Membangun skeptisisme yang sehat bahwa kanal resmi pun bisa disalahgunakan adalah lapisan pertahanan terakhir ketika filter teknologi berhasil dilewati.